Broadcast Defense 6: Konsequentes 24/7-Monitoring

Am 7. Juli 2026 kam es bei einem Webserver eines deutschen Versicherungsunternehmens zu einem Konfigurationsfehler. Der Zugriffsschutz für ein Verzeichnis griff dadurch für mehrere Stunden nicht, ein Zeitfenster, das ausreichte, damit ein KI-Crawler eines großen Anbieters die dort abgelegten Daten automatisiert erfassen konnte. Betroffen waren umfangreiche Datenkategorien wie, Name, Anschrift, Geburtsdatum, Geschlecht, Beruf, Telefonnummer, E-Mail-Adresse, Bankverbindung, Versicherungsnummer, Tarif und Versicherungssumme. Bei Kfz-Versicherungskunden kamen zusätzlich Kennzeichen und weitere Fahrzeugdaten hinzu.

Das Unternehmen forderte den KI-Anbieter nach Bekanntwerden auf, die abgegriffenen Daten zu löschen. Die betroffenen Kunden wurden rund zwei Wochen nach dem eigentlichen Vorfall informiert. Was diesen Fall besonders macht, ist nicht die Art der Daten, sondern der Umstand, dass hier kein Mensch gezielt gehandelt hat. Ein Crawler hat schlicht getan, wofür er gebaut wurde: automatisiert erreichbare Inhalte im Web erfassen. Die offene Lücke war für ihn nicht von einer legitim öffentlichen Seite zu unterscheiden.

Für das Unternehmen bedeutet der Vorfall zunächst einen klassischen Meldeprozess: Information der Datenschutzbehörde, Information der betroffenen Kunden, sowie, rechtlich relevant, die Frage, ob und in welchem Umfang der KI-Anbieter die erfassten Daten tatsächlich wieder löscht. Anders als bei einem klassischen Datenleck, bei dem man die Verbreitung im Zweifel nachverfolgen oder eingrenzen kann, ist bei einem KI-Crawler unklar, ob und wie die Daten in Trainingsprozesse eingeflossen sind. Eine vollständige Rückholung ist in solchen Fällen praktisch kaum zu garantieren.

Für die betroffenen Kunden bedeutet das ein erhöhtes Risiko für Identitätsdiebstahl und Phishing, da die offengelegten Daten in Kombination, insbesondere Name, Anschrift, Geburtsdatum und Bankverbindung, für gezielte Betrugsversuche ausreichen.

Konfigurationsfehler wie dieser entstehen häufig durch fehlende Kontrolle über Änderungen an produktiven Systemen. Eine durchgehende Überwachung exponierter Systeme hätte die offene Lücke möglicherweise deutlich früher sichtbar gemacht, etwa durch automatisierte Alarmierung bei ungewöhnlichem Zugriffsverhalten auf eigentlich geschützte Verzeichnisse. Genau hier setzt das SOC von Riedel Networks an: Es sammelt, korreliert und wertet Protokolldaten aus, um relevante Sicherheitsereignisse frühzeitig zu erkennen, auch solche, die durch eine schleichende Fehlkonfiguration entstehen. Auch regelmäßige, unabhängige Prüfungen der eigenen Angriffsfläche, wie sie im Rahmen eines strukturierten [R.E.D.] Schwachstellen-Scans erfolgen, könnten solche Fehlkonfigurationen aufdecken, bevor sie zum Problem werden.

Seite 1: Basiswissen 24/7-Monitoring
Seite 2: Angriffstyp des Monats: KI-Crawler
Seite 3: Sicherheitsvorfall des Monats: KI-Crawler bei der Versicherung
Seite 4: Stimme der Branche: Wie viel ist noch echt?